Split-DNS с автоматической генерацией зоны

Я хочу запустить настройку DNS, при которой зоны управляются на внутреннем DNS-сервере Active Directory. На границе сети есть подчиненный DNS-сервер, на котором выполняется BIND (я готов переключить его, я читал, что Unbound может быть лучше?). Что я хочу сделать, так это запустить DNS-сервер на границе с разделенным DNS; по отношению к внутренней сети он должен быть подчиненным для AD DNS, по отношению к Интернету он должен действовать как главный и вносить некоторые изменения в зону (а именно, удаление записей A, указывающих на IP-адреса RFC1918).

Я сделал диаграмму для иллюстрации. IP-адреса и имена вымышленные. 10/8 является локальным, 192.168 / 16 и 172.16 / 12 являются общедоступными для этого примера. EXAMPLE.COM и EXAMPLE.ORG представляют две разные организации:

              LOCAL NETWORK      PUBLIC INTERNET

           +------------------+
           |                  |
           |     10.0.0.1     |
           |  AD.EXAMPLE.COM  |
           |                  |
           |   EXAMPLE.COM    |
           |     (master)     |
           |                  |
           +------------------+
                    |
+--------+ +------------------+------------------+
| CLIENT |-|                  |                  |
+--------+ |     10.0.0.2     |  192.168.200.1   |
+--------+ | BIND.EXAMPLE.COM | NS1.EXAMPLE.COM  |
| CLIENT |-|                  |                  |
+--------+ |   EXAMPLE.COM    |   EXAMPLE.COM    |
+--------+ |     (slave)      |     (master)     |
| CLIENT |-|    (resolver)    |                  |
+--------+ +------------------+------------------+
                                        |
                              +------------------+
                              |                  |
                              |   172.16.100.1   |
                              | NS1.EXAMPLE.ORG  |
                              |                  |
                              |   EXAMPLE.COM    |
                              |     (slave)      |
                              |                  |
                              +------------------+

Некоторые ключевые моменты:

• Я не хочу, чтобы зоны на сервере BIND обновлялись вручную; зоны должны быть перенесены с сервера AD и изменены / перезаписаны автоматически.
• Из общедоступного Интернета AD.EXAMPLE.COM не упоминается в записях SOA или NS. Что касается Интернета, это не DNS-сервер. NS1.EXAMPLE.COM - единственный хозяин в Интернете.
• Другие серверы с выходом в Интернет могут быть подчиненными для NS1.EXAMPLE.COM, поэтому передачи зон из BIND должны быть возможны (я не ожидаю здесь каких-либо проблем).
• Сервер BIND является авторитетным - только по отношению к Интернету, но является открытым преобразователем по отношению к локальной сети.
• DNSSec (если применимо) завершается на сервере BIND.